【54页】毕业论文：基于linux2.6的状态检测防火墙的研究与实现.doc文档高清免费浏览

最初的网络，并未过多的考虑安全性问题，协议是基于互相信任的模型，因此存在些设计上的缺陷，这些缺陷被黑客们挖掘和利用，各种攻击手段层出不穷，给互联网的可靠性带来很巨大的冲击。

信息安全措施主要包括网络安全应用安全和系统安全等方面，目前国家保密局出台的涉密信息系统分级保护管理办法，使用地址族，使用地址族。

每个功能定在头文件中定义自己的。

为什么上面的功能要使用而不是系统调用或文件系统来实现用户空间和内核世界的通讯这是因为增加系统调用或文件并不是件简单的事情这样会有污染现有内核并损害系统稳定性的危险。

而则很简单，只有个常量即协议类型，需要被添加至头文件。

之后，内核模块和应用程序可以立即使用风格的进行通讯。

是异步通讯过程和其他样，它为每个提供了缓冲队列，以使突发性的消息发送平滑化。

用于发送的系统调用将消息放入接收者所申请的对应的缓冲队列中，之后触发接收者的接收处理函数。

在执行接收处理函数执行这样的上下文环境下，接收者可以决定是立即处理收到的消息，还是将消息留在队列中留到稍后在不同的上下文环境中处理。

不同于，系统调用要求同步处理。

因此，假设我们使用系统调用从用户空间向内核传递条消息，如果用于处理该消息的时间较长的话，可能会影响内核调度的粒度。

内核中用于实现系统调用的代码在编译是被静态连接入内核因此，在可动态加载的模块中大多数驱动程序都为此类，包含系统调用代码是不合适的使用方法。

而对于，在的模块核心，与存在于可加载内核模块中的应用程序，这两者之间不存在编译时的依赖问题。

系统调用和都是单工，即只有用户进程能使用这两种方法建立会话。

然而，如果个内核模块有个紧急消息要发送给用户进程，该怎么办用这两种，没有直接的解决办法。

通常，应用程序周期性的对进行轮询以检查状态的变化，然而轮询的代价是很高的占用大量时间。

通过也允许内核发起会话的方式，优雅的解决了这问题。

这称之为的双工特性。

最后，提供的风格的，很容易被软件开发者所理解。

因此本程序使用将配置输入导入内核，并从内核读出配置数据，用来查看已经生效的配置。

日志功能的实现对于些应用，不仅需要阻断连接，还需要记录阻断的连接已用于日志审计，对于分析，取证具有十分重大的意义。

因此考虑在该防火墙程序中实现日志功能。

类别类型级别描述用户日志用户登录操作防火墙需要使用管理员账号登陆用户退出规则操作增加规则删除规则修改规则删除日志报文日志规则阻断流量限制报文通过连接日志连接建立每个连接日志代表了次通讯过表日志分类表日志功能为了便于查询，般都用数据库来存储。

如果有日志服务器，可以直接通过网络，将日志内容发送到日志服务器。

而在没有日志服务器的情况下，日志将存在本地的数据库中。

日志的内容是在内核中获得的，而在内核中可以直接组装数据包，再通过网卡的发送函数来将日志的内容发送出去。

但是对于本地存储的情况，内核中无法直接读取数据库文件。

因此需要个用户空间的守护进程，在内核空间通过发送的形式，将需要记录的日志内容传送到用户空间，用户空间收到消息后写入数据库。

图系统结构图第章状态检测防火墙效果验证由于本应用的特殊性，加上设计算法的时候充分考虑到了性能的提高，因此该状态检测防火墙比使用规则配置防火墙性能上可以有很大的提高。

我们将通过搭建测试环境，在大数据量的情况下比较两者的性能。

实验环境用台机当做服务器，安装服务器，并用另台机器访问这台服务器。

在内核模块中，将加入调试信息，显示数据包被处理的过程。

实验拓扑如图图实验拓扑图测试步骤使用用户空间程序来配置防火墙，加入以下规则对端口进行禁止访问使用浏览器正常访问服务器，看能否打开网页对端口流量控制使用浏览器下载个大约的文件实验结果加入规则后，可能正常的访问服务器，并可以控制下载的速率。

通过查看日志，可以记录被阻断的访问请求。

结论网络安全问题是信息化网络化过程中必须解决的首要问题，而防火墙是目前实现网络安全的种重要手段，防火墙技术的发展在未来的发展中起着举足轻重的作用。

近几年来，采用和配置平台来完成基础工作的企业正在逐渐增多，服务器平台品种将更为多样化，承担起更多的任务。

本文深入地研究了状态检测技术在中的应用，开发和实现了个具备较高安全性和效率性，以保护服务器安全为目的的防火墙。

本程序比自身的相比，具有以下优点详细的日志审计本程序实现的日志系统，具有多个级别，可通过配置来控制防火墙记录日志的详细程度，可以更灵活的扩展需要的日志信息，并能将日志加入数据库系统，以方便通过各个关键字来查询日志，有利于海量日志的审计。

具有简单的功能，可控制带子连接的应用层网络协议的数据传输速度，应用广泛且易于配置管理。

通过改进的算法，使程序的运行效率比配置得到了大范围的提高，增加了可用带宽。

采用内核模块的方式实现，可以方便的进行安装和卸载，而不必进行大量的配置，不会对已有的系统稳定性造成影响，且可以在运行着的系统上进行实时的安装。

通过测试，证明本文所开发的防火墙实现了状态检测流量控制日志审计等功能，能够使服务器在网络应用中更加的安全可靠，而模块化的设计可以使用户根据自己的安全需求，在实际应用中灵活地增加和删减防火墙模块，为以后的研究开发提供了良好的理论指导和实践基础。

本文研究的防火墙，注重效率的提高，因此可达到高的网络吞吐量，由于作者时间有限，对于应用层过滤等技术并未引入本文的研究范围。

随着网络技术的快速发展，网络应用领域的进步扩大，对防火墙的安全性和有效性必然将提出更高的要求，下步的工作可从下几个方面展开应用层的协议识别，将人工智能的技术应用于流量分析，通过机器的自动学习来发现未知的协议，使本防火墙得到更广泛的应用和更高的安全性。

流量算法优化目前的控制流量的算法大多复杂而且效率也不够高，影响了网络吞吐量。

可以对现有的算法进行优化，并结合具体的网络环境，采用不同的流量控制措施。

将负载均衡和链路备份等技术加入到此防火墙中，提高防火墙的可用性，使其应用范围更广。

互联网技术经过不断的发展已日趋成熟，相信经过不懈的努力，我们的网络会变得越来越安全，同时使用网络将变得越来越方便。

参考文献王平，韦卫网络安全框架在中的实现计算机工程与设计李飞，甘刚，索望基于平台的图形界面防火墙设计计算机应用姚晓宇，赵晨内核防火墙实现与应用研究计算机工程代伟维护网络安全北京国防工业出版社，浪涛什么是状态检测防火墙网络安全技术与应用防火墙原理与实施李之棠，李伟明，陈琳，等，译北京电子工业出版社，王侠论操作系统辽宁税务高等专科学校学报卓佳提升服务器帐户的安全性网络与安全技术，王桂娟防火墙技术及其改进现代计算机孔令峰防火墙技术的发展常州信息职业技术学院学报，魏晓宁基于防火墙的设计与实现科技资讯刘更楼基于状态检测的防火墙系统研究航空计算技术